CRYPTRECは何をする組織？似た制度との見分け方
情報セキュリティマネジメント試験 平成31年度春期 午前 問3 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
CRYPTRECの役割として，適切なものはどれか。
- ア
外国為替及び外国貿易法で規制されている暗号装置の輸出許可申請を審査，承認する。
- イ
政府調達においてIT関連製品のセキュリティ機能の適切性を評価，認証する。
- ウ
電子政府での利用を推奨する暗号技術の安全性を評価，監視する。
- エ
民間企業のサーバに対するセキュリティ攻撃を監視，検知する。
会話形式の解説
講師今回のテーマはCRYPTRECという組織の役割です。選択肢には輸出の許可、製品の認証、攻撃の監視など、セキュリティに関係のありそうな仕事が並んでいます。それぞれの仕事が何を相手にしているのかを意識して読んでみてください。
受験者名前に「CRYPT」とあるので、暗号に関係する組織だろうとは思いました。ただ、暗号装置の輸出を審査する選択肢にも暗号が出てくるので、そこで迷いました。
講師暗号という言葉が入っているので、引っかかりやすい選択肢です。輸出の許可は外国為替及び外国貿易法に基づく行政手続で、担当しているのは経済産業省です。CRYPTRECは技術的な評価を行う立場なので、法律に基づく許可を出すことはありません。
受験者行政の手続と技術の評価は別物ということですね。政府調達でIT製品のセキュリティ機能を評価・認証するという選択肢も、政府向けの話なので近いように感じます。
講師そこがいちばん紛らわしいところです。製品のセキュリティ機能を認証するのはJISECという制度で、国際規格のCommon Criteria、つまりISO/IEC 15408に基づいています。JISECが見るのは製品で、CRYPTRECが見るのは暗号アルゴリズム、つまり暗号化の計算方式そのものです。
受験者製品を見るのか、暗号の方式を見るのかで区別するわけですね。サーバへの攻撃を監視する選択肢は、暗号とは関係がなさそうに見えます。
講師そのとおりです。攻撃を常に見張って検知するのはSOC、セキュリティオペレーションセンターの業務です。発生したインシデントへの対応であれば、CSIRTやJPCERT/CCが扱う領域になります。
受験者残るのは、電子政府での利用を推奨する暗号技術の安全性を評価・監視するという選択肢で、これが正解ですね。ただ、「監視」という言葉は攻撃監視の選択肢にもあるので、少し気になります。
講師大事なところです。ここでの監視は、推奨した暗号に後から破られる危険が出てこないかを見守り続けるという意味です。評価の結果はCRYPTREC暗号リストとして公表され、リストに載った後も安全性の確認が続きます。サーバを見張る監視とは、見ている対象がまったく違います。
受験者同じ「監視」でも、暗号技術の安全性を見続けるのか、サーバへの攻撃を見張るのかで意味が変わるのですね。まとめると、輸出許可は経済産業省、製品認証はJISEC、攻撃監視はSOC、暗号技術の評価はCRYPTRECという分担でしょうか。
講師その整理で大丈夫です。補足すると、CRYPTREC暗号リストは総務省と経済産業省が安全性を確認した暗号技術の一覧です。また、CRYPTRECは暗号の実装方法や運用方法についても調査・検討しています。なお、推奨はあくまで指針なので、従わなかったとしても原則として罰則はありません。
講師この種の問題では「評価」「認証」「監視」といった似た言葉で紛らわしい選択肢が作られます。言葉に引きずられず、相手が暗号の方式なのか、製品なのか、行政手続なのか、サーバへの攻撃なのかを確かめる習慣をつけておくと安心です。
まとめ
CRYPTRECは、電子政府で使うことを推奨する暗号技術について安全性を評価し、その後も監視し続けるプロジェクトです。評価の結果はCRYPTREC暗号リストにまとめられ、暗号の実装方法や運用方法についての調査・検討も行われています。暗号装置の輸出許可は経済産業省、IT製品の認証はCommon Criteriaに基づくJISEC、サーバへの攻撃監視はSOCが担当しており、それぞれ役割が分かれています。似た言葉が並ぶ選択肢は、何を対象にした仕事なのかに注目すると見分けやすくなります。
解答・解説
正解はウです
この問題のテーマ
日本の暗号技術評価プロジェクトであるCRYPTRECが何をしている組織なのかを、似たセキュリティ関連の制度・組織と区別できるかを問う問題です。
解き方の考え方
CRYPTRECは「暗号技術そのもの」を技術的に評価する立場にあり、許認可、製品認証、攻撃監視は行わないと押さえておけば解けます。各選択肢を読むときは、評価の対象が暗号アルゴリズムなのか、製品なのか、手続なのか、通信なのかを確認します。対象が暗号技術で、目的が電子政府での利用になっている選択肢を選びます。
選択肢ごとの解説
- ×ア 外国為替及び外国貿易法で規制されている暗号装置の輸出許可申請を審査，承認する。暗号装置の輸出許可を審査・承認する仕事は、貿易管理に関わる行政手続です。担当するのは経済産業省で、CRYPTRECではありません。CRYPTRECは技術面の評価を行う組織なので、法律に基づく許認可には関わりません。
- ×イ 政府調達においてIT関連製品のセキュリティ機能の適切性を評価，認証する。政府調達でIT製品のセキュリティ機能を評価・認証するのは、Common Criteria（ISO/IEC 15408）に基づくJISECのような製品認証制度です。CRYPTRECが評価するのは暗号アルゴリズムであり、製品を認証する制度は運営していません。
- ○ウ 電子政府での利用を推奨する暗号技術の安全性を評価，監視する。電子政府での利用を推奨する暗号技術について安全性を評価し、その後も監視し続けることは、CRYPTRECの中心となる役割です。評価の結果はCRYPTREC暗号リストにまとめられます。リストに載った後も安全性の状況は確認され続けます。
- ×エ 民間企業のサーバに対するセキュリティ攻撃を監視，検知する。サーバへの攻撃を常時監視して検知するのは、SOC（セキュリティオペレーションセンター）の業務です。インシデントへの対応は、CSIRTやJPCERT/CCが扱う領域でもあります。暗号技術の評価とは別の分野です。
補足
この種の問題では、「評価」「認証」「監視」という似た言葉を使って紛らわしい選択肢が作られます。何を対象にしているのか（暗号アルゴリズム、製品、通信）に注目すると区別しやすくなります。なお、CRYPTRECの推奨はあくまで指針であり、従わなかった場合に罰則が科されるような強制力は原則としてありません。
POINT
- CRYPTRECは、電子政府で使う暗号技術の安全性を評価・監視するプロジェクトです。
- CRYPTRECは暗号の実装方法や運用方法についても調査・検討しています。
- CRYPTREC暗号リストは、総務省と経済産業省が安全性を確認した暗号技術をまとめた一覧です。
- IT製品の認証はJISEC（Common Criteria）、攻撃の監視はSOC、輸出許可は経済産業省が担当しており、それぞれ役割が分かれています。